1/13 Expediente N.º: EXP202411257 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 16 de julio de 2024 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 16 de julio de 2024 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra CONSULTORIA LABORAL DE FORMACIÓN ONLINE, S.L. (en adelante, la parte reclamada) por no haber sido debidamente atendido el derecho de acceso a sus datos personales. Asimismo, manifiesta que no dio consentimiento para el uso de sus datos con fines comerciales. La parte reclamante afirma que fue contactado por la parte reclamada para ofrecerle unos cursos de formación. Posteriormente, con fecha 18 de enero de 2024, la parte reclamante remitió un correo electrónico a la parte reclamada solicitando el acceso a sus datos personales. La parte reclamada le envió dos escritos iguales, de fechas 11 y 15 de julio de 2024, indicando su nombre y apellidos como únicos datos de que disponía, y que “Tales datos han sido obtenidos a través de una página web pública: Google, a la que puede tener acceso cualquier persona. Los mismos serán renovados mientras aparezcan publicados en Google. La finalidad de los datos es meramente comercial y no han sido cedidos en ningún caso a terceros.” Junto a la reclamación se ha aportado: - Copia del correo electrónico de fecha 18 de enero de 2024 remitido por la parte reclamante a la parte reclamada solicitando acceso a sus datos personales. Copia de los dos escritos iguales remitidos por la parte reclamada, de fechas 11 y 15 de julio de 2024, informando a la parte reclamante de los datos de que dispone. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La parte reclamada manifiesta que “(…) no ha recibido directamente las solicitudes de ejercicio de derechos de A.A.A.. Las solicitudes fueron recibidas por un servicio externo subcontratado para la prestación de servicios de marketing digital. Según el contrato de confidencialidad firmado con dicho servicio externo, específicamente en la cláusula que regula la "Asistencia al Responsable en el Ejercicio de Derechos", se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 establece claramente que el encargado del tratamiento debe comunicar de forma inmediata y, en ningún caso más allá del día laborable siguiente, cualquier solicitud de ejercicio de derechos recibida por correo electrónico a la dirección info@consultorialaboral.es. Sin embargo, el servicio externo no cumplió con esta obligación, ya que no notificó a Consultoría Laboral de la recepción de dichas solicitudes, lo cual constituye un incumplimiento grave de las obligaciones contractuales y de los artículos 12 y 28.3 del RGPD. Cabe destacar que los correos electrónicos del reclamante fueron recibidos en direcciones gestionadas por el servicio externo y no por Consultoría Laboral, y la llamada comercial se efectuó desde un número de teléfono también gestionado por el servicio externo, sin intervención directa de Consultoría Laboral. (…) Consultoría Laboral no ha podido dar respuesta directa a la solicitud de ejercicio de derechos del reclamante porque no tuvo constancia de la misma hasta el mes de julio de 2024, cuando A.A.A. contactó por primera vez directamente con Consultoría Laboral para trasladar su solicitud. Desde ese momento y tras la recepción del presente requerimiento por parte de esa Agencia, Consultoría Laboral ha estado recopilando toda la información posible sobre el incidente con el fin de poder dar contestación adecuada al reclamante. Este esfuerzo incluye la revisión detallada de la actuación del servicio externo y la evaluación de los incumplimientos contractuales y legales cometidos por el mismo. (…) Hasta la fecha de este escrito, no se ha dado respuesta directa al reclamante debido a la falta de notificación por parte del servicio externo de las solicitudes de derechos originales. No obstante, Consultoría Laboral procederá a contactar con A.A.A. a la mayor brevedad posible para resolver la situación y proporcionar la información pertinente, una vez revisados los hechos y adoptadas las medidas necesarias para garantizar el cumplimiento normativo. (…) Conclusión: Consultoría Laboral de Formación Online S.L. ha cumplido diligentemente con sus obligaciones como responsable del tratamiento, seleccionando y supervisando a los encargados del tratamiento conforme a lo exigido por el RGPD. Los incumplimientos específicos señalados en la reclamación recaen exclusivamente en el servicio externo subcontratado, que no cumplió con sus obligaciones contractuales y legales, exonerando a Consultoría Laboral de responsabilidad en estos hechos. Se han adoptado medidas correctivas inmediatas para asegurar el cumplimiento de la normativa de protección de datos y prevenir futuros incidentes similares.” La parte reclamada, con este escrito de respuesta al trámite de traslado, no aportó ninguna documentación que acredite la contratación con el servicio externo que se menciona ni el resto de sus manifestaciones. TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 12 de septiembre de 2024, a los efectos previstos en el artículo 64.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 El mencionado acuerdo concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La notificación del Acuerdo de Admisión a trámite, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 13/09/2024 como consta en el acuse de recibo que obra en el expediente, sin que haya tenido entrada en esta Agencia ninguna respuesta. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 12 de septiembre de 2024, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión En el presente supuesto, ha quedado acreditado que la parte reclamante solicitó el acceso a sus datos personales ante la parte reclamada, y que ésta le contestó, una vez transcurrido el plazo legalmente establecido para ello, que disponía de su nombre y apellidos, y que “Tales datos han sido obtenidos a través de una página web pública: Google, a la que puede tener acceso cualquier persona. Los mismos serán renovados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 mientras aparezcan publicados en Google. La finalidad de los datos es meramente comercial y no han sido cedidos en ningún caso a terceros.” Durante la tramitación del presente procedimiento, la parte reclamada ha señalado que no tuvo conocimiento de la petición de la parte reclamante porque fue recibida “(…) por un servicio externo subcontratado para la prestación de servicios de marketing digital. Según el contrato de confidencialidad firmado con dicho servicio externo, específicamente en la cláusula que regula la "Asistencia al Responsable en el Ejercicio de Derechos", se establece claramente que el encargado del tratamiento debe comunicar de forma inmediata y, en ningún caso más allá del día laborable siguiente, cualquier solicitud de ejercicio de derechos recibida por correo electrónico a la dirección info@consultorialaboral.es. Sin embargo, el servicio externo no cumplió con esta obligación, ya que no notificó a Consultoría Laboral de la recepción de dichas solicitudes, (…)” El RGPD dispone: “Artículo 24. Responsabilidad del responsable del tratamiento 1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2. Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3. (…) Artículo 28. Encargado del tratamiento 1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
- a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
- b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
- c)tomará todas las medidas necesarias de conformidad con el artículo 32;
- d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
- e)asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
- f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
- g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
- h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
- h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4. (…)” Asimismo, la LOPDGDD establece: “Artículo 28. Obligaciones generales del responsable y encargado del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 1. Los responsables y encargados, teniendo en cuenta los elementos enumerados en los artículos 24 y 25 del Reglamento (UE) 2016/679, determinarán las medidas técnicas y organizativas apropiadas que deben aplicar a fin de garantizar y acreditar que el tratamiento es conforme con el citado reglamento, con la presente ley orgánica, sus normas de desarrollo y la legislación sectorial aplicable. En particular valorarán si procede la realización de la evaluación de impacto en la protección de datos y la consulta previa a que se refiere la Sección 3 del Capítulo IV del citado reglamento. 2. Para la adopción de las medidas a que se refiere el apartado anterior los responsables y encargados del tratamiento tendrán en cuenta, en particular, los mayores riesgos que podrían producirse en los siguientes supuestos:
- a)(…)
- b)Cuando el tratamiento pudiese privar a los afectados de sus derechos y libertades o pudiera impedirles el ejercicio del control sobre sus datos personales. (…) Artículo 33. Encargado del tratamiento. 1. El acceso por parte de un encargado de tratamiento a los datos personales que resulten necesarios para la prestación de un servicio al responsable no se considerará comunicación de datos siempre que se cumpla lo establecido en el Reglamento (UE) 2016/679, en la presente ley orgánica y en sus normas de desarrollo. 2. Tendrá la consideración de responsable del tratamiento y no la de encargado quien en su propio nombre y sin que conste que actúa por cuenta de otro, establezca relaciones con los afectados aun cuando exista un contrato o acto jurídico con el contenido fijado en el artículo 28.3 del Reglamento (UE) 2016/679. Esta previsión no será aplicable a los encargos de tratamiento efectuados en el marco de la legislación de contratación del sector público. Tendrá asimismo la consideración de responsable del tratamiento quien figurando como encargado utilizase los datos para sus propias finalidades. 3. El responsable del tratamiento determinará si, cuando finalice la prestación de los servicios del encargado, los datos personales deben ser destruidos, devueltos al responsable o entregados, en su caso, a un nuevo encargado. No procederá la destrucción de los datos cuando exista una previsión legal que obligue a su conservación, en cuyo caso deberán ser devueltos al responsable, que garantizará su conservación mientras tal obligación persista. 4. El encargado del tratamiento podrá conservar, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento. (…)” Por ello, el hecho de que la parte reclamada tenga contratado un servicio externo para la gestión de los derechos personales no le exime de su responsabilidad para la atención de dichos derechos. Si el encargado de tratamiento contratado no cumple las funciones contratadas, la parte reclamada, en este caso, deberá hacer todo lo posible C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 para que el derecho de acceso ejercido por la parte reclamante sea debidamente atendido o denegado motivadamente. En cualquier caso, la parte reclamada no ha acreditado la contratación con el servicio externo al que se refiere en su respuesta, ni la intervención en los hechos por parte de esta supuesta entidad tercera. Las Directrices 1/2022, sobre los derechos de los interesados — Derecho de acceso en su versión de 28 de marzo de 2023, del Comité Europeo de Protección de Datos, señalan que “3. En virtud del RGPD, el derecho de acceso consta de tres componentes, a saber, la confirmación de si se tratan o no datos personales, el acceso a los mismos y la información sobre el propio tratamiento. El interesado también puede obtener una copia de los datos personales tratados, si bien esta posibilidad no es un derecho adicional del interesado, sino una modalidad de facilitar el acceso a los datos. Así pues, el derecho de acceso puede entenderse tanto como la posibilidad de que el interesado solicite al responsable del tratamiento si se tratan datos personales que le conciernen, como la posibilidad de acceder a dichos datos y verificarlos. El responsable del tratamiento facilitará al interesado, sobre la base de su solicitud, la información que entre en el ámbito de aplicación del artículo 15, apartados 1 y 2, del RGPD. (…) 2.1.1. Definición del contenido del derecho de acceso 17. El artículo 15, apartados 1 y 2, contiene los tres aspectos siguientes: en primer lugar, la confirmación de si se están tratando datos personales del solicitante, en caso afirmativo, en segundo lugar, el acceso a dichos datos y, en tercer lugar, la información sobre el tratamiento. Pueden considerarse tres componentes diferentes que, juntos, construyen el derecho de acceso. 2.1.1.1. Confirmación de si se están tratando o no datos personales 18. Al presentar una solicitud de acceso a datos personales, lo primero que deben saber los interesados es si el responsable del tratamiento trata o no datos que les conciernen. Por consiguiente, esta información constituye el primer componente del derecho de acceso en virtud del artículo 15, apartado 1. Cuando el responsable del tratamiento no trate datos personales que conciernan al interesado que solicita el acceso, la información que debe facilitarse se limitará a confirmar que no se están tratando datos personales que le conciernen. Cuando el responsable del tratamiento trate datos que conciernen a la persona solicitante, deberá confirmarlo a dicha persona. Esta confirmación podrá comunicarse por separado o incluirse como parte de la información sobre los datos personales objeto de tratamiento (véase más adelante). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 2.2.1.2 Acceso a los datos personales objeto de tratamiento 19. El acceso a los datos personales es el segundo componente del derecho de acceso en virtud del artículo 15, apartado 1, y constituye el núcleo de este derecho. Se refiere al concepto de datos personales tal como se define en el artículo 4, apartado 1, del RGPD. Aparte de los datos personales básicos, como el nombre y la dirección, una variedad ilimitada de datos puede estar incluida en esta definición, siempre que entren en el ámbito material del RGPD, especialmente en lo que respecta a la forma en que se procesan (artículo 2 del RGPD). El acceso a los datos personales significa el acceso a los datos personales reales, no solo una descripción general de El acceso a los datos personales es el segundo componente del derecho de acceso en virtud del artículo 15, apartado 1, y constituye el núcleo de este derecho. Se refiere al concepto de datos personales tal como se define en el artículo 4, apartado 1, del RGPD. Aparte de los datos personales básicos, como el nombre y la dirección, en esta definición puede entrar una variedad ilimitada de datos, siempre que entren en el ámbito de aplicación material del RGPD, en particular en lo que se refiere al modo en que se realiza el tratamiento (artículo 2 del RGPD). Por «acceso a datos personales» se entiende el acceso a los propios datos personales, no solo una descripción general de los datos ni una mera referencia a las categorías de datos personales tratados por el responsable del tratamiento. Si no se aplican límites o restricciones12, los interesados tendrán derecho a acceder a todos los datos tratados que les conciernan, o a partes de los datos, en función del alcance de la solicitud (véase la sección 2.3.1). La obligación de facilitar el acceso a los datos no depende del tipo o la fuente de dichos datos. Se aplica en su totalidad incluso en los casos en que la persona solicitante haya facilitado inicialmente los datos al responsable del tratamiento, ya que su objetivo es informar al interesado sobre el tratamiento efectivo de dichos datos por parte del responsable del tratamiento. El alcance de los datos personales con arreglo al artículo 15 se explica detalladamente en las secciones 4.1 y 4.2. (…) 2.3 Principios generales del derecho de acceso 34. Cuando los interesados presenten una solicitud de acceso a sus datos, en principio, la información a que se refiere el artículo 15 del RGPD debe facilitarse siempre en su totalidad. En consecuencia, cuando el responsable del tratamiento trate datos que conciernen al interesado, facilitará toda la información a que se refiere el artículo 15, apartado 1 y, en su caso, la información a que se refiere el apartado 2 del mismo artículo. El responsable del tratamiento debe adoptar las medidas adecuadas para garantizar que la información sea completa, correcta y esté actualizada, y que se corresponda lo más posible con el estado del tratamiento de los datos en el momento de recibir la solicitud16. Cuando dos o más C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 responsables del tratamiento traten datos conjuntamente, el acuerdo de los corresponsables en relación con sus respectivas responsabilidades en relación con el ejercicio de los derechos del interesado, especialmente en lo que respecta a la respuesta a las solicitudes de acceso, no afectará a los derechos de los interesados frente al responsable del tratamiento al que dirijan su solicitud. 2.3.1 Completitud de la información 35. Los interesados tienen derecho a obtener, con las excepciones que se mencionan a continuación, la comunicación completa de todos los datos que les conciernan (para más detalles sobre el ámbito de aplicación, véase la sección 4.2). A menos que el interesado solicite expresamente lo contrario, toda solicitud de ejercicio del derecho de acceso se entenderá en términos generales, abarcando todos los datos personales que le conciernan18. Podrá considerarse la posibilidad de limitar el acceso a parte de la información en los siguientes casos: 3.1.1.
- a)El interesado ha limitado explícitamente la solicitud a un subconjunto. Con el fin de evitar que se facilite información incompleta, el responsable del tratamiento solo podrá considerar esta limitación de la solicitud del interesado si puede tener la certeza de que esta interpretación responde al deseo del interesado (para más detalles, véase la sección 3.1.1, apartado 51). En principio, el interesado no tendrá que repetir la solicitud de transmisión de todos los datos que este tenga derecho a obtener.
- b)(…) Análisis del contenido de la solicitud 43. Esta cuestión puede evaluarse más específicamente haciendo las siguientes preguntas.
- a)¿Se refiere la solicitud a datos personales? 44. En virtud del RGPD, el alcance de la solicitud solo se extenderá a los datos personales23. Por lo tanto, cualquier solicitud de información sobre otras cuestiones, en particular la información general sobre el responsable del tratamiento, sus modelos de negocio o sus actividades de tratamiento no relacionadas con datos personales, no debe considerarse una solicitud presentada con arreglo al artículo 15 del RGPD. Además, una solicitud de información sobre datos anónimos o datos que no conciernan a la persona solicitante o a la persona en cuyo nombre la persona autorizada haya presentado la solicitud no estará incluida en el ámbito de aplicación del derecho de acceso. Esta cuestión se analizará más detalladamente en la sección 4. 45. A diferencia de los datos anónimos (que no son datos personales), los datos seudonimizados, que podrían atribuirse a una persona física mediante el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 uso de información adicional, son datos personales. Así pues, los datos seudonimizados que puedan vincularse a un interesado (por ejemplo, cuando el interesado facilite el identificador correspondiente que permita su identificación, o cuando el responsable del tratamiento pueda conectar los datos con la persona solicitante por sus propios medios) deben considerarse incluidos en el alcance de la solicitud. (…)
- e)¿Desean los interesados acceder a la totalidad o a parte de la información tratada sobre ellos? 51. Además, el responsable del tratamiento debe evaluar si las solicitudes presentadas por la persona solicitante se refieren a la totalidad o a parte de la información tratada sobre ellas. Toda limitación del alcance de una solicitud a una disposición específica del artículo 15 del RGPD, realizada por los interesados, debe ser clara e inequívoca. Por ejemplo, si los interesados requieren literalmente «información sobre los datos tratados en relación con ellos», el responsable del tratamiento debe suponer que los interesados tienen la intención de ejercer plenamente su derecho en virtud del artículo 15, apartados 1 y 2, del RGPD. Dicha solicitud no debe interpretarse en el sentido de que los interesados deseen recibir únicamente las categorías de datos personales que se están tratando y renunciar a su derecho a recibir la información enumerada en el artículo 15, apartado 1, letras
- a)a h). Esto sería diferente, por ejemplo, cuando los interesados deseen, con respecto a los datos que especifiquen, tener acceso a la fuente u origen de los datos personales o al plazo de conservación especificado. En tal caso, el responsable del tratamiento podrá limitar su respuesta a la información específica solicitada. En el presente caso, del examen de la documentación aportada por las partes durante la instrucción del presente procedimiento, ha quedado acreditado que el derecho de acceso a sus datos personales solicitado por la parte reclamante no fue debidamente contestado dentro del plazo legalmente establecido para ello. Además, en la respuesta remitida por la parte reclamada a la parte reclamante, señalan que sólo tienen su nombre y apellidos cuando de la propia reclamación se infiera que, al menos, también disponen de un número de teléfono, además de que no se han especificado todos los apartados recogidos en la normativa de protección de datos (origen de los datos, destinatarios, finalidades, …)., por lo que no se puede considerar que se haya atendido debidamente dicho derecho de acceso. En consecuencia, procede estimar la reclamación presentada. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el artículo 15 del RGPD e instar a CONSULTORIA LABORAL DE FORMACIÓN ONLINE, S.L. con NIF B88577663, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del art. 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
- m)de la LOPDGDD, que se sancionará de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a CONSULTORIA LABORAL DE FORMACIÓN ONLINE, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-090823 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es